Мария

ITF

До 1 сентября 2026 года осталось меньше двух месяцев. Но пока большинство владельцев бизнеса об этом даже не вспоминают, их сайты висят на волоске.

Напоминаю суть: с осени идентификация владельцев доменов через Госуслуги становится единственно возможной. Это не просто «обновление правил», это тектонический сдвиг для всего Рунета.

Какие доменные зоны затрагивает изменение:

.RU — основная зона, обязательно для всех

.РФ — кириллическая зона, тоже обязательно

.SU — зона бывшего СССР, подпадает под требование

Корпоративные домены в этих зонах — без исключений

Не затрагивает: домены в международных зонах (.com, .net, .org, .biz и др.) — для них правила регистрации остаются прежними.

Важно: Если у вас несколько доменов в разных зонах, проверить нужно каждый! Часто компании владеют и .ru, и .com версией сайта.

Почему я бью тревогу уже сейчас? Как практик, я вижу, что будет в августе:

Коллапс на портале Госуслуг из-за наплыва.

Очереди и сбои у регистраторов.

Паника, когда домен просто не продлевается, а сайт и корпоративная почта отваливаются в один день.

Не ждите «последнего вагона». Бюрократия не ждет дедлайны.

Сейчас процесс подтверждения через регистратора проходит быстро и легко.

Что нужно сделать вашей компании уже на этой неделе (сохраняйте чек-лист, чтобы не потерять!):

Провести аудит всех доменов. Проверить, на кого фактически оформлены домены в зонах .RU, .РФ, .SU (очень часто они висят на уволенных сисадминах, физлицах или ликвидированных ООО).

Проверить доступы. Убедиться, что у текущего владельца есть подтвержденная учетная запись на Госуслугах (ЕСИА).

Начать перенос. Если данные неактуальны — запускать процедуру передачи прав прямо сейчас, пока системы работают штатно.

Я подготовила материал, где разобрала все подводные камни: что делать, если регистратор «потерял» данные, как пройти модерацию с первого раза и какие юридические нюансы учесть.

Ссылку на подробную статью оставляю в первом комментарии под этим постом

Коллеги, а вы уже проверяли, на кого оформлены ваши корпоративные домены? Сколько доменных зон использует ваш бизнес?

Делитесь опытом, давайте разберем сложные кейсы!

#Бизнес #IT #Домены #Госуслуги #предпринимательство #Кибербезопасность #Закон #БизнесПроцессы #маркетинг

Коллеги, хочу с вами поделиться неодчевидной утечкой ПДн.

Если вы используете Яндекс.Метрику с включенным Вебвизором, вы можете случайно нарушать 152-ФЗ «О персональных данных». Рассказываю, как это работает и как перестать рисковать штрафами.

В чем техническая уязвимость?
Вебвизор записывает видео сессий пользователей. По умолчанию он перехватывает нажатия клавиш в полях ввода и отправляет их на серверы Яндекса в реальном времени.

Смотрите, как это выглядит:

1. Пользователь начинает вводить ФИО, телефон или email в форму.
2. Вебвизор мгновенно фиксирует эти символы и отправляет их Яндексу (третьему лицу).
3. И только потом пользователь ставит галочку «Согласен на обработку ПДн» и жмет «Отправить».

Как итог, передача данных происходит ДО получения согласия. Это прямое нарушение ст. 6 и ст. 9 ФЗ-152.

А при чем тут Яндекс?

Ответственность за настройку Вебвизора и недопущение утечек лежит на владельце сайта. Это прописано в п. 4.1.2 Условий использования Яндекс.Метрики.

Проблема на стыке IT и права:

Юристы работают с текстами документов, но им сложно разобраться в HTML-коде.

Разработчики внедряют счетчики по ТЗ от отдела маркетинга, не осознавая юридических рисков.

В итоге сайт имеет необходимые документы, но в реальности «сливает» персональные данные.

Как это починить за 5 минут?

Решение лежит на поверхности. Попросите ваших фронтенд-разработчиков добавить к чувствительным полям форм (где вводятся ФИО, телефоны, почты) специальный атрибут или CSS-класс: `ym-disable-keys`

Что это даст:

• Вебвизор перестанет записывать нажатия клавиш в этом поле.
• На видео данные будут маскироваться звездочками (****).
• Передача «сырых» данных исключена до момента отправки формы.

Сохраняйте пост, чтобы не потерять, и перешлите своему маркетологу и IT-отделу — пусть проверят ваш сайт!

Подробнее о проблеме написала в статье на нашем сайте https://itfgo.ru/blog/utechka-pdn-cherez-webvizor/

А вы уже сталкивались с проверками Роскомнадзора или проверяли свой сайт на такие утечки?

Делитесь опытом в комментариях!

#яндексметрика #бизнес #маркетинг #персональныеданные #152фз #сайт #предпринимательство #аналитика

В практике управления бизнесом всё чаще возникает ситуация, когда основной канал продаж это не торговый зал, а сайт или аккаунты в социальных сетях. Средствами производства, от которых зависит работа бизнеса, становятся корпоративные системы. Таким образом, появляется такое понятие как цифровые активы компании.

При этом отношение к этим активам часто остаётся потребительским, пока не случается инцидент.

Сайт — это такой же объект управления, как и любое другое имущество компании. У него есть стоимость, срок службы, риски утраты и необходимость юридической чистоты. Но если по недвижимости у нас есть понятные регламенты проверки, то по цифровой собственности — часто только устные договорённости.

В ходе консультаций мы регулярно сталкиваемся с одной закономерностью. Собственник бизнеса уверен, что сайт принадлежит компании. Однако при детальной проверке выясняется:

• домен зарегистрирован на физлицо, которое давно не работает в компании;

• хостинг привязан к личной электронной почте сотрудника;

• доступ к админке и рекламным кабинетам распределён бесконтрольно.

Это не вопрос доверия к команде. Это вопрос системного управления. В любой момент доступ может быть утерян не по злому умыслу, а по технической причине: смена номера, блокировка почты, увольнение человека, который всё помнил. Восстановление доступа в таких случаях занимает недели, а иногда и вовсе невозможно.

Что мы рекомендуем проверять на регулярной основе

Во-первых, фиксировать, на кого оформлены домены и кто является администратором. Это должно быть либо юридическое лицо, либо конкретное физлицо с понятными полномочиями.

Во-вторых, вести реестр доступов: к хостингу, панели управления сайтом, почтовым ящикам, привязанным к сервисам, и ко всем рекламным кабинетам. Реестр должен храниться не в переписке, а в контролируемом месте, доступ к которому есть у ограниченного круга лиц.

В-третьих, назначить внутри компании ответственного за цифровую инфраструктуру. Не формально, а с закреплённой функцией и регулярными отчётами.

Это не требует больших бюджетов, но требует внимания. Проверка цифровых активов раз в квартал — разумная практика, сопоставимая с проверкой договоров аренды или инвентаризацией склада.

Как у вас организован учёт доступов к цифровым активам? Используете ли вы специальные инструменты или полагаетесь на память сотрудников?

Сталкивались ли вы с ситуацией, когда доступ к сайту или рекламному кабинету был потерян?

Как выходили из неё и какие выводы сделали?

itfgo.ru — управление цифровыми активами

Буду благодарна за ваши ответы и опыт. Тема не новая, но, судя по практике, остаётся открытой у большинства компаний.

#бизнес #управление #сайт #it #маркетинг #предприниматель #seo #бизнеспроцессы

Получила очень предметный вопрос от читателя. Спасибо, что поднимаете такие интересные темы.

«Мария, прочитала ваш пост про Gmail и 152-ФЗ — тема острее, чем многие думают. Я занимаюсь ИИ-решениями для бизнеса, и вопрос „где хранятся данные и кто к ним имеет доступ“ встаёт у каждого второго клиента при внедрении. Было бы интересно услышать вашу точку зрения: как вы видите будущее ИИ-инструментов в контексте российского законодательства о данных?»

Отвечаю развёрнуто на основе того, что мы уже пробуем на практике.

ИИ-инструменты — это компьютерные программы. И их использование в России уже сейчас можно выстроить в правовом поле.

Ближайшее будущее (10–40 лет)

ИИ-решения будут локализованы в России. Они могут работать как в облаке, так и в локальной инфраструктуре компании.

Второй вариант дороже, но обеспечивает полную независимость, так как ИИ доступен даже без интернета (пусть и с ограничениями по качеству). Ведь LLM, по сути, — это сжатый архив знаний человечества. Такая модель уже работает, например, в нашей компании.

При данном подходе законодательство соблюдается, поскольку трансграничная передача данных и доступ третьих лиц исключены. Если же возникает необходимость использовать внешние зарубежные ресурсы (что актуально для малого бизнеса, где содержать свои ИИ-серверы экономически нецелесообразно), компания выделяет отдельный сегмент информационной системы.

В этом сегменте не обрабатываются персональные данные (ПДн), поэтому он не относится к ИСПДн. Это позволяет отправлять туда данные (без ПДн) через API, получать результаты и использовать их в работе.

Схема работы с ПДн без их обработки на стороне бизнеса

Субъекты ПДн могут использовать личное хранилище данных — например, на базе ЕСИА («Госуслуги») или в собственном защищённом облаке. Как это работает: все персональные данные (паспорт, СНИЛС, ИНН, адрес, номера телефонов и т.д.) остаются в этом хранилище и не покидают его, так как возвращается только результат обработки ПДн.

Бизнес-сервис (в том числе ИИ-решение) не загружает их к себе, а через защищённый API-шлюз направляет запрос на обработку непосредственно в хранилище, например, для верификации, сравнения или агрегации. Хранилище возвращает только результат (да/нет, скоринг, выборка), но не сами данные. При этом доступ предоставляется строго по воле субъекта и только на время конкретной операции с возможностью полного отзыва в любой момент.

Это самый гибкий способ управления, так как контроль полностью остаётся за субъектом. В такой модели бизнес практически не имеет доступа к обработке ПДн и, соответственно, не несёт за неё ответственности — вся нагрузка по обеспечению 152-ФЗ ложится на оператора хранилища, а компания работает только с обезличенными результатами.

Второй этап (более отдаленное будущее)

Государства как таковые могут исчезнуть, уступив место планетарной системе управления, и тогда понятие локализации потеряет смысл. ПДн сохранятся, но само определение «персона» будет пересмотрено. Например, имя вряд ли будет считаться ПДн. Скорее всего, к ПДн отнесут только генетический код и цифровой журнал (лог) жизни человека.

Рекомендация на сегодня

При разработке ИИ-решений мы рекомендуем использовать архитектуру, где запросы к ИИ не содержат ПДн, а соответствующий сегмент ИС компании не связан с ИСПДн напрямую, только через шлюзы. Это гарантирует соответствие закону, так как система по умолчанию не работает с ПДн. Если же обработка ПДн всё-таки необходима, потребуется локализация LLM, а также внесение соответствующих изменений в Политику обработки данных и в Согласие субъекта.

---

Коллеги, а как вы решаете вопрос с данными при внедрении ИИ?
Используете локализованные модели или обходитесь обезличиванием?
Делитесь — обсудим!

#ИИ #152фз #персональныеданные #ит #it #искусственныйинтеллект #ai #безопасностьданных #бизнес #комплаенс #бизнеспроцессы #автоматизациябизнеса #автоматизация

Последние месяцы я наблюдаю одну и ту же историю. Только теперь она касается не красивых сайтов без продаж, а «невидимой» инфраструктуры бизнеса.

Приходит запрос: «Помогите, нам пришло предписание от Роскомнадзора» или «Слышали, что что-то там изменилось, но пока вроде не трогают».

И начинается самое интересное.

Когда я спрашиваю: «А где физически хранятся данные ваших клиентов и сотрудников?», мне часто отвечают: «Ну в Gmail, а что такого?».

А такое, что требования 152-ФЗ закрутили гайки так, что иностранные серверы под запретом. И это не просто «рекомендация». Это прямая дорога к миллионным штрафам. Причем за первое нарушение — от 1 до 6 млн рублей, за повторное — уже до 18 млн.

И это не «страшилка». Это реальность, с которой мы сейчас работаем.

С чем я столкнулась в очередной раз и что мы исправляем:

Есть компания с многолетней историей. Есть клиенты, контрагенты, сотрудники. Есть бизнес-процессы. Но при этом вся база персональных данных (ФИО, телефоны, должности, переписка) лежит на серверах Google, Microsoft, WhatsApp.

Компания живет так годами. «Нас и так все знают», «Мы всегда так делали», «Ну кто нас проверять-то будет?».

Проверят. Поверьте. Проверки бывают не только плановые, но и по жалобе клиента или обиженного сотрудника. И вот тогда начинается паника.

Резонный вопрос: «А как так получилось? Ведь мы вроде законопослушные?»

И мой любимый риторический вопрос, когда я вижу очередное чудо, созданное по принципу «авось пронесет»: «Почему так происходит?»

Потому что на берегу не договорились. Потому что кто-то когда-то сказал: «Это удобно, это бесплатно (или дешево), давайте оставим». И забыли спросить: «А что будет через год?».

Что я всегда предлагаю проверить в первую очередь (и это касается не только почты, но и всего бизнеса):

Аудит всех входных дверей. Где у вас собираются данные клиентов? Это не только почта, но и формы на сайте, чаты в мессенджерах, облачные хранилища, аналитика, колл-трекинг. Если данные попадают на иностранный сервер (Gmail, Google Drive, Google Analytics, Google reCAPTCHA, Telegram, WhatsApp, Outlook) — это уже нарушение.

Ответ на главный вопрос: «А где физически находится ваша ИСПДн?» (Информационная система персональных данных). Ответ «в облаке» — не принимается. Нужно конкретное место: дата-центр в РФ.

План миграции. Это не просто «переключить тумблер». Для компании до 50 сотрудников перенос почты (письма, календари, контакты, интеграции с CRM) может занять в лучшем случае месяц. И если не начать сейчас, то в момент проверки времени уже не будет.

Работа с возражениями. «Мы перенесем потом», «Это дорого», «Мы используем только для внутренней переписки». Не работает. Если в письме есть ФИО и адрес почты — это уже ПДн. Исключений нет.

Документы. Политика обработки ПДн, приказы о назначении ответственных, Согласия на обработку ПДн, договоры поручений на обработку — это та самая «минимальная самопрезентация» перед регулятором, без которой вы беспомощны. Роскомнадзор смотрит не только на базу, но и на документы. И их минимальный набор — более 20 пунктов.

К чему была вся эта подводка?

На днях мы запускаем процесс перевода одного крупного клиента с Gmail на российские сервисы. Задача — не просто «перенести письма», а сохранить все настройки, не потерять интеграции и, самое главное, уложиться в сроки до возможной проверки. И сделать это так, чтобы бизнес не остановился ни на час.

И я вам честно скажу, это будет непросто. Но лучше сделать это сейчас, чем потом объяснять инспектору, «почему у нас все так плохо».

Обо всех возникающих вопросах и нюансах буду писать в своём блоге.

А как у вас, друзья? Уже перевели корпоративную почту на российские серверы? Или пока в режиме «авось пронесет»? Делитесь, интересно послушать.

#автоматизация #бизнес #152фз #цифроваябезопасность #личныйбренд #почта #опыт #право #цифровойюрист
#it #compliance #комплаенс

На этой неделе интернет облетела новость о новых штрафах и запретах. Многие испугались, что их аккаунты на российских сайтах заблокируют, а привычная почта перестанет работать. Давайте разберемся, что изменилось на самом деле и как это влияет на бизнес и обычных пользователей.

Главное, что нужно понять, паника возникла вокруг закона, который действует уже почти три года. Еще в 2023 году вступил в силу 406-ФЗ, который дополнил 149-ФЗ. Тогда установили запрет на регистрацию на российских сайтах через зарубежные сервисы вроде «Войти через Google» или Apple ID. Но долгое время за это нарушение не было наказания для владельцев сайтов.

И вот 9 июня 2026 года Госдума приняла поправки в КоАП, которые этот пробел устранили. Теперь штрафы стали реальными. Для владельца сайта, который не убрал кнопку входа через Gmail, сумма может достигать 700 тысяч рублей. Для ответственных сотрудников предусмотрено до 50 тысяч, для физических лиц — до 20 тысяч рублей.

Именно на этом фоне в сети и начали появляться сообщения о блокировках. Пользователи стали получать предупреждения, что такой способ входа запрещен законом. У многих сложилось полное ощущение, что прямо сейчас у кого-то отключают аккаунты.

Но технически для обычных людей почти ничего не поменялось. Тот самый запрет действует с 2023 года, и большинство сайтов уже давно убрали кнопки «Войти через Google». Это не нововведение текущей недели. Сейчас просто идет массовая чистка интерфейсов, чтобы не попасть под штрафы, и это выглядит как блокировка, хотя на деле это просто удаление старой кнопки.

Важный нюанс: сам по себе запрет касается только способа авторизации, а не вашего почтового ящика. Вы можете спокойно иметь почту на Gmail и использовать её как логин, если так настроена система. В этом случае вы вводите набор символов, закрепленный за вами, и связи с иностранной системой нет. Штрафы грозят именно за предложение иностранного сервиса для входа, а не за «неправильный» адрес.

Что это значит для вас? Если вы не увидели привычной кнопки, просто войдите на сайт по номеру телефона или по логину и паролю. Ваш аккаунт, скорее всего, в полном порядке.

Подробнее с деталями закона можно ознакомиться в нашем материале по ссылке в комментариях.

А теперь вопрос к вам. Встречали ли вы еще российские сайты, где остался вход через Google? Или, возможно, расстроились, что кнопку убрали, или вам все равно, как заходить?

В следующем посте разберем, может ли оператор персональных данных использовать иностранную почту по закону 152-ФЗ. Если эта тема актуальна для вашего бизнеса, ставьте + в комментариях, чтобы я понимал, что это важно.

#it #закон #право #бизнес #сайт

Я недавно написала статью, и чем дольше я её готовила, тем чётче понимала одну неприятную вещь.

Мы все привыкли считать, что если на сайте есть политика обработки персональных данных, если стоит галочка под формой и компания отправила уведомление в Роскомнадзор, то можно спать спокойно. Но на самом деле это иллюзия. И довольно опасная.

Потому что не достаточно просто зарегистрироваться оператором персональных данных. Именно после регистрации вы берёте на себя ответственность за обработку ПДн.
Каким образом вы работаете с данными каждый день: с какой целью собираете, кто имеет доступ, где они хранятся, как реагируете на просьбы людей удалить их из базы?

Если у вас нет выстроенной системы, то уведомление в РКН — просто формальность, которая не защитит ни от проверки, ни от жалобы, ни от штрафа.

И отдельная боль — это сайты. Очень частая ситуация: в политике чёрным по белому написано, что никакой трансграничной передачи данных за границу нет, а по факту на сайте стоят Google reCAPTCHA, иностранная аналитика, подгружаются шрифты и скрипты с иностраннных сайтов.

Данные утекают на зарубежные серверы. Причём маркетологи и разработчики часто даже не в курсе, что это проблема.

А юристы, когда пишут политику, вообще не видят, какие скрипты загружаются. В итоге документ врёт, а компания этого даже не замечает. До первой проверки.

И тут мы упираемся в главное. Юристы сами по себе эту проблему не решат. Они не умеют читать код. А IT-специалисты не всегда понимают, как правильно оформить цели обработки. Нужна работа в связке. Плюс необходим человек, который видит бизнес-процессы целиком, так как соответствие закону строится не на шаблонных документах, а на реальной картине того, как данные движутся внутри компании.

Кстати, о данных. Мы привыкли думать, что наши активы — это офис, станки, товар на складе. Но сайт, который приводит клиентов, аккаунты в социальных сетях, база клиентов, история заказов — это тоже активы. И очень ценные. Только вот парадокс: большинство компаний их не контролируют.

Они не знают, ведётся ли реестр этих активов, где хранятся, как защищаются и кому передаются доступы, где лежат резервные копии и другая информация. А без контроля вы рискуете потерять свои сайты и аккаунты или получить штрафы от регуляторов.

Если хотите реальной защиты, а не формальной, начинать надо не с копирования чужой политики, а с простого и честного аудита цифрового хозяйства компании. Посмотреть, что на самом деле происходит на сайте, куда утекают данные, как они хранятся, кто к ним имеет доступ. И нарисовать схему: откуда пришли, с какой целью собираются, где лежат, кому видны, когда и как удаляются.

Прозрачность даёт управление. А управление — это уже не расходы на юриста, а инвестиция в устойчивость бизнеса. Согласны?

#бизнеспроцессы #бизнес2026 #автоматизация #системныйподход #152фз #цифровоеправо #itюрист #compliance #иб